Memetakan satu kumpulan kebijakan ke beberapa kerangka kerja tanpa menulis ulang

Pola yang umum terjadi: sebuah perusahaan menyusun kumpulan kebijakan untuk ISO 27001, lalu seorang pelanggan meminta SOC 2 dan seseorang membeli paket templat kedua, kemudian PCI DSS datang dengan persyaratannya sendiri. Hasilnya tiga kumpulan kebijakan yang tumpang tindih, masing-masing sedikit usang, dan tidak ada yang sesuai dengan apa yang benar-benar dilakukan orang. Kebijakan tidak perlu spesifik untuk kerangka kerja tertentu. Kebijakan harus spesifik untuk organisasi, dan dipetakan.

Struktur: tiga lapisan

1. Satu kebijakan keamanan informasi: singkat, disetujui pimpinan, dan menyatakan tujuan, ruang lingkup, tanggung jawab, serta komitmen. Klausul 5.2 ISO 27001 dan 12.1.1 PCI DSS sama-sama mewajibkannya.
2. Kebijakan topik (sekitar selusin): kontrol akses, penggunaan yang dapat diterima, manajemen aset, kriptografi, respons insiden, kelangsungan bisnis, keamanan pemasok, pengembangan aman, manajemen kerentanan dan patch, pencatatan dan pemantauan, keamanan fisik, serta keamanan SDM.
3. Prosedur dan standar di bawahnya, tempat frekuensi, pengaturan, dan langkah-langkah berada. Bagian ini lebih sering berubah dan seharusnya tidak memerlukan persetujuan pimpinan setiap kali.

Letakkan detail spesifik kerangka kerja dalam prosedur, bukan dalam kebijakan: “akses ditinjau setiap enam bulan” termasuk dalam prosedur tinjauan akses, tempat frekuensi PCI DSS dapat dicantumkan tanpa membuat kebijakan membengkak.

Petakan, jangan tulis ulang

Simpan tabel pemetaan: satu baris per bagian kebijakan, dengan persyaratan yang dibahasnya di setiap kerangka kerja. Topik Governance Policy menunjukkan apa yang diharapkan setiap kerangka kerja di tingkat atas:

Kerangka kerja	Kebijakan Tata Kelola	Tautan
NIST CSF 2.0	GV.PO-01GV.PO-02	Definisi topik
ISO 27001	A.5.1A.5.37Clause 5.2	Crosswalk
CIS v8.1	—	Tidak ada pemetaan dalam data kami
SOC 2	CC5.3CC1.1	Editorial
PCI DSS	12.1.112.1.2	Crosswalk
CMMC	—	Tidak ada pemetaan dalam data kami
800-53	PM-1PL-1	Crosswalk
HIPAA	§164.316(a)§164.316(b)(2)(iii)	Crosswalk
GDPR	Art.24(2)	Editorial
NIS2	1.1	Crosswalk
Essential Eight	—	Tidak ada pemetaan dalam data kami

Detail lengkap dan alasan untuk setiap tautan: Kebijakan Tata Kelola di seluruh kerangka kerja →

Ketika kerangka kerja baru datang, jalankan analisis kesenjangan dan periksa persyaratan tata kelola dan kebijakan: sebagian besar akan dipetakan ke kebijakan yang sudah Anda miliki; sisanya menjadi bagian atau prosedur baru.

Yang secara spesifik diwajibkan kerangka kerja dalam bentuk tertulis

• ISO 27001: kebijakan keamanan informasi (5.2) dan kebijakan spesifik topik sesuai kebutuhan (A.5.1), yang dikomunikasikan dan ditinjau.
• SOC 2: kebijakan yang menetapkan apa yang diharapkan, diterapkan melalui prosedur (CC5.3).
• PCI DSS: untuk masing-masing dari dua belas persyaratannya, kebijakan dan prosedur yang terdokumentasi dan mutakhir (x.1.1) serta peran yang ditetapkan (x.1.2), ditinjau setidaknya setahun sekali.
• NIS2: kebijakan tentang keamanan sistem jaringan dan informasi, serta kebijakan spesifik topik (Implementing Regulation point 1).
• NIST CSF 2.0: kebijakan ditetapkan, dikomunikasikan, dan ditegakkan (GV.PO).

Kumpulan kebijakan minimal

Untuk sebagian besar organisasi kecil dan menengah, dokumen-dokumen berikut mencakup persyaratan kebijakan ISO 27001, SOC 2, NIST CSF, PCI DSS, dan NIS2:

1. Kebijakan keamanan informasi (tingkat atas, disetujui pimpinan)
2. Kebijakan penggunaan yang dapat diterima
3. Kebijakan kontrol akses
4. Kebijakan manajemen aset dan klasifikasi data
5. Kebijakan kriptografi
6. Kebijakan pengembangan aman dan manajemen perubahan
7. Kebijakan manajemen kerentanan dan patch
8. Kebijakan pencatatan dan pemantauan
9. Kebijakan respons insiden (dengan kewajiban pelaporan)
10. Kebijakan kelangsungan bisnis dan cadangan
11. Kebijakan keamanan pemasok
12. Kebijakan keamanan sumber daya manusia
13. Kebijakan keamanan fisik

Tiga belas dokumen, sebagian besar beberapa halaman, masing-masing dengan pemilik dan tanggal tinjauan. Prosedur memuat detailnya dan berubah lebih sering.

Poin utama

• Kebijakan harus spesifik untuk organisasi dan dipetakan, bukan spesifik untuk kerangka kerja tertentu.
• Letakkan frekuensi dan pengaturan dalam prosedur.
• Tiga belas kebijakan singkat mencakup sebagian besar kerangka kerja.
• PCI DSS mewajibkan kebijakan dan prosedurnya ditinjau setidaknya setahun sekali.

Jaga agar tetap akurat

• Tulis apa yang Anda lakukan, bukan apa yang tertulis di templat. Auditor menguji kebijakan terhadap praktik.
• Tinjau setiap tahun, dan setelah perubahan signifikan, dengan persetujuan yang tercatat.
• Singkat lebih baik daripada lengkap: kebijakan kontrol akses dua halaman yang benar-benar dibaca orang lebih baik daripada dua puluh halaman yang tidak dibaca siapa pun.

Untuk kumpulan kontrol umum lengkap yang dibangun dengan gagasan yang sama, lihat satu kumpulan kontrol untuk SOC 2 dan ISO 27001.

Pertanyaan

Berapa banyak kebijakan keamanan yang Anda butuhkan?

Lebih sedikit dari yang disarankan kebanyakan templat. Satu kebijakan keamanan informasi tingkat atas ditambah sekitar selusin kebijakan topik (akses, penggunaan yang dapat diterima, respons insiden, keamanan pemasok, dan sebagainya) biasanya sudah mencakup ISO 27001, SOC 2, NIST, dan PCI DSS.

Apakah PCI DSS mewajibkan kebijakan tertentu?

Ya. Setiap persyaratan PCI DSS dimulai dengan persyaratan kebijakan dan prosedur yang terdokumentasi dan mutakhir untuk area tersebut (x.1.1), ditambah peran dan tanggung jawab (x.1.2).